SafePay e Aur0ra atingem Argentina

Aur0ra registrou vítimas na Argentina e no Peru, e sua análise descreve um esquema de dupla extorsão com acesso inicial por portais VPN mal configurados, endpoints RDP com autenticação de um único fator e appliances de borda vulneráveis. Em paralelo, SafePay entrou em um aviso conjunto do CISA, do FBI, do U.S. Secret Service e de órgãos policiais da Alemanha e do Reino Unido, que atribui ao menos 600 organizações afetadas desde agosto de 2024, com referências à América do Sul em monitoramentos de terceiros.

¿Qué se observó en Aur0ra?

Aur0ra combinou a intrusão inicial por exposição perimetral fraca, movimento lateral com ferramentas administrativas nativas, PowerShell e Mimikatz, e depois a busca por recursos compartilhados, repositórios e cópias de segurança. Em seguida, segundo a análise da Ransom-DB, compactou e exfiltrou os dados com ferramentas legítimas de sincronização ou túneis C2 criptografados, e mais tarde publicou o material em um site de vazamentos na rede Tor.

O levantamento da Ransom-DB também posiciona o Aur0ra em setores específicos, entre eles manufatura comercial, serviços jurídicos, diagnóstico em saúde, hotelaria e engenharia arquitetônica. Ou seja, não se trata de um padrão concentrado em uma única vertical, mas de uma campanha que atingiu organizações com perfis diferentes.

¿Cómo encaja SafePay en el mapa regional?

SafePay aparece em um aviso conjunto que fala em mais de 600 organizações afetadas e o vincula a uma técnica de dupla extorsão, além de insistir em medidas básicas de endurecimento. A cobertura do aviso prioriza correções para vulnerabilidades exploradas, MFA obrigatória, backups offline e imutáveis, segmentação de redes e monitoramento do movimento lateral.

A fonte de cobertura da MedRisk acrescenta que Argentina, Chile, Colômbia, Peru e outros países latino-americanos aparecem em monitoramentos de terceiros sobre o SafePay, mas esclarece que o aviso oficial não confirma vítimas específicas nem traz um recorte por país. Essa distinção separa dois planos, um alerta formal de alcance global e uma atribuição regional que ainda não foi confirmada oficialmente.

¿Qué datos regionales quedan firmes?

O que está confirmado, com material verificável, é que o Aur0ra já deixou vítimas na Argentina e no Peru, e que o SafePay foi alvo de um alerta conjunto por seu impacto em ao menos 600 organizações desde agosto de 2024. Há também uma referência a 2025 na FortiRecon, que relatou 141 vítimas confirmadas no Brasil, 69 no México, 50 na Argentina e 41 na Colômbia, embora esse dado não seja vinculado no material a uma única família de ransomware.

O retrato deixado pelos relatórios é o de campanhas ativas com presença regional e TTPs que exploram falhas de acesso remoto, equipamentos expostos e credenciais fracas. No caso do SafePay, a atribuição por país segue em aberto nas informações disponíveis. No Aur0ra, por sua vez, Argentina e Peru já aparecem como vítimas confirmadas.